Un grupo está utilizando anuncios maliciosos en Instagram para infectar iPhones vulnerables con el spyware DarkSword (variante P7). El ataque, que utilizó un anuncio relacionado con la Copa del Mundo, permite exponer información sensible de los usuarios sin necesidad de que hagan clic en el anuncio, descarguen archivos o instalen aplicaciones.

Un ataque documentado utilizó un anuncio de la Copa del Mundo para distribuir la variante P7 de DarkSword, exponiendo información sensible sin requerir que la víctima tocara el anuncio, descargara un archivo o instalara una aplicación.

Los hallazgos muestran cómo la publicidad online puede convertirse en un canal de entrega para ataques móviles. A diferencia del phishing, estas infecciones no dependen de persuadir a alguien para que abra un enlace sospechoso.

Informes anteriores sobre spyware distribuido a través de anuncios documentaron una campaña separada, destacando cómo la infraestructura publicitaria puede ayudar a los atacantes a llegar a los dispositivos durante la navegación ordinaria.

Investigadores de iVerify identificaron la infección de DarkSword P7 mientras investigaban el dispositivo móvil de un empleado en la organización de un cliente.

Anuncios maliciosos de Instagram

Su investigación conjunta con Report URI, publicada el 21 de octubre de 2026, describe grupos criminales que abusan de los anuncios e integraciones de sitios web abandonados para distribuir DarkSword y Coruna, dos kits de exploits de iOS capaces de robar datos privados.

En el caso de Instagram, el empleado simplemente estaba desplazándose por la pantalla cuando se cargó el anuncio malicioso. La misma persona enfrentó más tarde otro ataque tras hacer clic en un enlace malicioso distribuido por un grupo diferente que utilizaba otra variante de DarkSword.

Las alertas en tiempo casi real permitieron que el equipo de seguridad de la organización rotara las credenciales antes de que los datos de inicio de sesión robados pudieran ser vendidos y utilizados contra los sistemas corporativos.

Los investigadores describen estos como ataques de "medio clic": tú debes visitar una página web o plataforma social, pero no es necesaria ninguna interacción posterior con el contenido malicioso.

Esta distinción es importante. El informe no describe un ataque que alcance un teléfono inactivo sin actividad de navegación, ni establece que los iPhones totalmente actualizados sean vulnerables.

Los investigadores no han establecido cómo el anuncio de Instagram pasó los controles de Meta. Analizan varias posibilidades, incluyendo contenido malicioso oculto, abuso de revendedores de publicidad o un proveedor comprometido.

Ninguna está confirmada. La infección observada demuestra una ruta de entrega publicitaria, no es una prueba de una vulnerabilidad en Instagram mismo.

El compromiso subyacente depende de software de iOS vulnerable. El análisis previo de los exploits de Coruna y DarkSword explica cómo los fallos vinculados del navegador y del sistema pueden permitir que un atacante vaya más allá de los límites de seguridad del navegador.

En esta investigación, ambos kits se dirigen a versiones antiguas de iOS; los marcadores de posición para versiones más recientes no demuestran exploits funcionales contra ellas.

DeadTag expande la entrega de spyware a través de etiquetas de sitios web olvidadas

Report URI también descubrió DeadTag, una operación que compra dominios expirados previamente utilizados para servicios de análisis y publicidad. Miles de sitios web todavía cargan scripts de esos dominios a través de etiquetas olvidadas.

Una vez que los atacantes controlan un dominio, esas conexiones existentes les dan una forma de redirigir a los visitantes sin comprometer primero cada sitio web directamente.

Los investigadores identificaron cientos de dominios volver a registrados y estimaron 135 millones de visitas mensuales a sitios capaces de servir el spyware cuando los visitantes cumplen las condiciones de segmentación.

Esa cifra mide la exposición potencial del tráfico, no infecciones confirmadas. Gran parte del tráfico redirigido conduce a estafas, mientras que visitantes seleccionados de iPhone reciben Coruna o DarkSword.

El equipo de exploits también plantó cargadores de DarkSword en cientos de tiendas PrestaShop, ocultándolos en carpetas que parecen componentes de análisis. Algunas rutas conducían a una página falsa de Polymarket.

Las variantes identificadas apuntaban a contraseñas del llavero, información del dispositivo y monederos, incluyendo Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink y Bitpie.

El daño potencial se extiende más allá de las criptomonedas. Ambos kits de exploits pueden recopilar mensajes, contactos, información de ubicación y contraseñas.

Para los empleadores, un teléfono personal comprometido puede, por lo tanto, convertirse en una fuente de credenciales corporativas, incluso cuando el empleado nunca abra un archivo adjunto sospechoso o apruebe conscientemente una instalación.

El robo financiero parece ser el motivo principal. Comentarios de código en chino e infraestructura relacionada sugieren operadores de habla china, pero no establecen la nacionalidad ni la implicación estatal.

Los operadores de DeadTag siguen sin ser identificados. Por separado, informes previos sobre paquetes de temas de sitios web maliciosos muestran cómo las dependencias del lado del navegador pueden exponer a los visitantes de iPhone al spyware y al robo de monederos a través de sitios web que parecen confiables.

Tú deberías instalar las actualizaciones de seguridad de iOS disponibles rápidamente. Si enfrentas un riesgo elevado, deberías considerar el Modo de Aislamiento, reconociendo sus restricciones.

Los propietarios de sitios web deben eliminar las etiquetas de terceros que no utilicen, monitorear los scripts externos y aplicar una Política de Seguridad de Contenido (CSP).

Tras una sospecha de compromiso, los investigadores recomiendan preservar los registros antes de reiniciar, cambiar las credenciales expuestas y reemplazar los monederos de criptomonedas afectados con nuevas frases de recuperación.